Mejores prácticas para crear una política IPS inicial

Normalmente recomendaría implementar su IPS en modo no bloqueado para comenzar con la ejecución de la política predeterminada, más cualquier otra firma o política que se aplique específicamente a lo que se está ejecutando en su red.

Una vez que la política haya estado funcionando por un tiempo y esté satisfecho con lo siguiente

1. La tasa de falsos positivos
2. Las estadísticas de rendimiento (caída de paquetes, etc.), especialmente bajo carga alta (pps, rendimiento)
3. El ajuste que ha hecho para eliminar los falsos positivos

A continuación, debe considerar si ampliar el conjunto de políticas habilitado. Al hacerlo, debe considerar lo siguiente.

• ¿Tiene control total sobre las aplicaciones \ nodos desplegados en su red?
• ¿Se le avisará si hay nuevas aplicaciones \ nodos ¿Aparece en su red?

En un escenario ideal, su IPS solo tendrá habilitadas firmas que cubran las aplicaciones que se ejecutan en su red. La ventaja de hacer esto es la siguiente.

1. Reduce la posibilidad de un falso positivo que bloquea el tráfico legítimo, cuantas menos firmas se habiliten, más bajos son los falsos positivos.

2. En general, cuanto menor sea el número de firmas habilitadas, mayor será el rendimiento, lo que reducirá las posibilidades de que el tráfico malicioso no sea detectado debido a problemas de rendimiento.

Una vez que hayas hecho esto, deberías considerar habilitar el modo de bloqueo en tu IPS.

A menos que tenga un rendimiento u otros problemas, me gustaría comenzar con la política más amplia e integral que pueda. Luego elimino / edito las reglas caso por caso. Recomendaría mantener reglas que no necesariamente cubran los productos que tiene, como el conjunto de reglas de Frontpage Extensions, a menos que tenga un procedimiento implementado en el que SI alguien comienza a desarrollar una aplicación de Frontpage impresionante, agregue las reglas apropiadas. Incluso si no hay forma de que alguna vez instales un producto / tecnología en tu red, puedes recibir una alerta cuando un script script Kid active un exploit para un producto que no tienes.

Así que me gusta comenzar con el conjunto de reglas predeterminado, ver los registros, eliminar o editar las reglas que producen falsos positivos, agregar otro conjunto de reglas, enjuagar y repetir.

Sugeriría al implementar un IPS en un entorno para poner primero en modo pasivo. Primero debe ver qué tráfico está llegando para identificar qué tráfico es válido y qué no. Ya que ya habrá recopilado una lista de puertos y protocolos conocidos que necesitan que el tráfico ingrese a la red, lo hará más fácil.

Se necesita tiempo para ajustar un IPS. Realmente necesita comenzar de manera amplia y restringirla para asegurarse de que no afectará a ninguno de los negocios. Desea proteger su red, pero también necesita mantener el negocio funcional.

Yo diría que esto sería cierto antes de implementar cualquier dispositivo nuevo en la red para el que va a crear reglas que podrían afectar el tráfico en su red y, a su vez, afectar el negocio de su empresa.